手脱PEncrypt 4.0

1.载入PEID

PEncrypt 4.0 Gamma / 4.0 Phi -> junkcode [Overlay]

2.载入OD，没什么头绪，忽略所有异常，用最后一次异常法shift+F9运行两次，因为第三次会跑飞，所以运行两次，另外这个壳使用单步太费劲了，一不小心就跑飞了，所以直接使用的最后一次异常法进行脱壳的

00401000 >  FC              cld                               ; //入口点
00401001    FC              cld
00401002    FC              cld
00401003    90              nop
00401004  - E9 BDBA0000     jmp PEncrypt.0040CAC6
00401009  - E3 D5           jecxz short PEncrypt.00400FE0
0040100B    04 4F           add al,0x4F
0040100D  - 74 A4           je short PEncrypt.00400FB3
0040100F    D248 74         ror byte ptr ds:[eax+0x74],cl

 

3.最后一次异常法的落脚点，落脚后，右键—转到—表达式—输入SE句柄(也叫SE处理程序)”0040CCD7”—回车

0040CCD0    9D              popfd
0040CCD1    90              nop
0040CCD2    4B              dec ebx                           ; //最后一次异常法落脚点
0040CCD3    6F              outs dx,dword ptr es:[edi]
0040CCD4    6368 69         arpl word ptr ds:[eax+0x69],bp
0040CCD7    8B4424 04       mov eax,dword ptr ss:[esp+0x4]    
0040CCDB    8B00            mov eax,dword ptr ds:[eax]
0040CCDD    3D 04000080     cmp eax,0x80000004

0012FF88   0040CCD7  SE处理程序

 

4.回车后的位置，然后F2,SHIFT+F9，F2，也就是让程序运行到转到的位置上，然后继续F8，F8过程中，记得在向上跳转的下一行F4，也就是让程序运行到向上跳转的下一行，这是脱壳的基本原则，尽量不让程序往回跳

0040CCD3    6F              outs dx,dword ptr es:[edi]
0040CCD4    6368 69         arpl word ptr ds:[eax+0x69],bp
0040CCD7    8B4424 04       mov eax,dword ptr ss:[esp+0x4]    ; //回车的位置
0040CCDB    8B00            mov eax,dword ptr ds:[eax]
0040CCDD    3D 04000080     cmp eax,0x80000004
0040CCE2    74 06           je short PEncrypt.0040CCEA
0040CCE4    4B              dec ebx

 

5.找到关键跳，指向OEP的关键跳

0040CD26    9D              popfd
0040CD27    61              popad
0040CD28    BD CC104000     mov ebp,PEncrypt.004010CC
0040CD2D  - FFE5            jmp ebp                           ; //指向OEP的关键跳
0040CD2F    0000            add byte ptr ds:[eax],al
0040CD31    0000            add byte ptr ds:[eax],al
0040CD33    0000            add byte ptr ds:[eax],al

 

6.来到OEP，进行脱壳，需要注意的是脱壳后无法正常运行，需要使用loadPE重建PE表才可以正常运行

004010CC    55              push ebp                          ; PEncrypt.004010CC
004010CD    8BEC            mov ebp,esp
004010CF    83EC 44         sub esp,0x44
004010D2    56              push esi
004010D3    FF15 E4634000   call dword ptr ds:[<&KERNEL32.Get>; kernel32.GetCommandLineA
004010D9    8BF0            mov esi,eax
004010DB    8A00            mov al,byte ptr ds:[eax]
004010DD    3C 22           cmp al,0x22
004010DF    75 1B           jnz short PEncrypt.004010FC

 

7.运行查壳

运行OK，查壳：Microsoft Visual C++ v6.0 SPx